WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20は複数の脆弱性の盛況を受けます：

  - ファイル（作者など）をアップロードできるユーザーが、メディアライブラリのXML解析問題を悪用して、XXE攻撃を引き起こす可能性があります。これには、PHP8を使用するWordPressのインストールが必要です。XXE攻撃が成功すると、内部ファイルにアクセスできる可能性があります。（CVE-2021-29447）

  - WordPressエディターのブロックの1つが、パスワード保護された投稿やページを露出する方法で悪用される可能性があります。これには、少なくともcontributor権限が必要です。（CVE-2021-29450）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

CVE-2021-29447

Wordpress はオープンソースの CMS です。ファイル (作者など) をアップロードできるユーザーが、メディアライブラリの XML 解析問題を悪用して、XXE 攻撃を引き起こす可能性があります。これには、PHP8 を使用する WordPress のインストールが必要です。XXE 攻撃が成功すると、内部ファイルにアクセスできる可能性があります。

CVE-2021-29450

Wordpress はオープンソースの CMS です。WordPress エディターのブロックの 1 つが、パスワード保護された投稿やページを露出する方法で悪用される可能性があります。これには、少なくとも contributor 権限が必要です。

Debian 9 stretch では、これらの問題はバージョン 4.7.20+dfsg-1+deb9u1 で修正されています。

お使いのwordpressパッケージをアップグレードすることを推奨します。

wordpressの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/wordpress

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20 受到多個弱點影響：

  - 能夠上傳檔案的使用者 (例如 Author) 可惡意利用媒體程式庫中的 XML 剖析問題，發動 XXE 攻擊。這需要安裝的 WordPress 使用 PHP8。若 XXE 攻擊成功，攻擊者可以存取內部檔案。(CVE-2021-29447)

  - WordPress 編輯器中有一個區塊可遭惡意使用者利用，造成受密碼保護的貼文和頁面洩漏。這至少需要參與者權限。(CVE-2021-29450)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

CVE-2021-29447

Wordpress 是一個開放原始碼的 CMS。能夠上傳檔案的使用者 (例如 Author) 可惡意利用媒體程式庫中的 XML 剖析問題，發動 XXE 攻擊。這需要安裝的 WordPress 使用 PHP8。若 XXE 攻擊成功，攻擊者可以存取內部檔案。

CVE-2021-29450

Wordpress 是一個開放原始碼的 CMS。WordPress 編輯器中有一個區塊可遭惡意使用者利用，造成受密碼保護的貼文和頁面洩漏。這至少需要參與者權限。

針對 Debian 9 Stretch，已在 4.7.20+dfsg-1+deb9u1 版本中修正這些問題。

建議您升級 wordpress 套件。

如需有關 wordpress 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/wordpress

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20 受到多个漏洞的影响：

  - 能够上传文件的用户（如作者）可利用媒体库中的 XML 解析问题，进而造成 XXE 攻击。这要求 WordPress 安装必须使用 PHP8。若 XXE 攻击成功，则可以获得内部文件的访问权限。(CVE-2021-29447)

  - WordPress 编辑器中的一个区块可以通过暴露受密码保护的帖子和页面的方式遭到利用。这至少需要贡献者权限。(CVE-2021-29450)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

CVE-2021-29447

Wordpress 是一款开源 CMS。能够上传文件的用户（如作者）可利用媒体库中的 XML 解析问题，进而造成 XXE 攻击。这要求 WordPress 安装必须使用 PHP8。若 XXE 攻击成功，则可以获得内部文件的访问权限。

CVE-2021-29450

Wordpress 是一款开源 CMS。WordPress 编辑器中的一个区块可以通过暴露受密码保护的帖子和页面的方式遭到利用。这至少需要贡献者特权。

针对 Debian 9 stretch，这些问题已在 4.7.20+dfsg-1+deb9u1 版本中修复。

我们建议您升级 wordpress 程序包。

如需了解 wordpress 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/wordpress

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
148844	WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20	Nessus	CGI abuses	2021/4/20	2024/6/6	medium
148927	DebianDLA-2630-1：wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/22	2024/1/16	medium
148844	WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20	Nessus	CGI abuses	2021/4/20	2024/6/6	medium
148927	Debian DLA-2630-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2021/4/22	2024/1/16	medium
148844	WordPress 5.7 < 5.7.1 / 5.6 < 5.6.3 / 5.5 < 5.5.4 / 5.4 < 5.4.5 / 5.3 < 5.3.7 / 5.2 < 5.2.10 / 5.1 < 5.1.9 / 5.0 < 5.0.12 / 4.9 < 4.9.17 / 4.8 < 4.8.16 / 4.7 < 4.7.20	Nessus	CGI abuses	2021/4/20	2024/6/6	medium
148927	Debian DLA-2630-1：wordpress 安全更新	Nessus	Debian Local Security Checks	2021/4/22	2024/1/16	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium